DE69733574T2

DE69733574T2 - Authentication between communication partners in a telecommunications network

Info

Publication number: DE69733574T2
Application number: DE69733574T
Authority: DE
Inventors: Jari Juopperi
Original assignee: Nokia Oyj
Current assignee: Nokia Oyj
Priority date: 1996-12-10
Filing date: 1997-12-08
Publication date: 2006-05-18
Anticipated expiration: 2017-12-09
Also published as: FI107367B; EP0963636B1; FI964926A0; CA2274472A1; EP0963636A1; FI964926A; JP2001505749A; WO1998026538A1; AU5190898A; ATE298155T1; DE69733574D1

Abstract

In known telecommunications systems using multiple access the terminal equipment assumes that the network element is genuine while the network element assumes that the terminal equipment is genuine. This allows false terminal equipment, a false network element or a third party to penetrate the system. The proposed commitment protocol applies bit block commitment known from cryptography and a shared encryption key and the authentication is divided into two parts, whereby one part of it is done by the terminal equipment and the other part is done by the network. The terminal equipment (MS) sends to the network element (BTS) a pseudo identifier (AMSI) which it has formed, whereupon encryption keys (MKEY, BKEY) are exchanged. Only when the network element has revealed its true identity, will the terminal equipment send the required information (IMSI, RND1, RND2) encrypted with a combination of the keys. Finally, the network element authenticates the terminal equipment by using the identity information which it has revealed. Only then can operation commence.

Description

Gebiet der ErfindungTerritory of invention

Diese Erfindung betrifft eine Entstehung einer Datenübertragung in einem Mehrfachzugangsnetzwerk, wobei die Endgerätevorrichtung unter Verwendung eines gemeinsamen Zugangskanals, der für alle Endgerätvorrichtungen bestimmt ist, von dem Netzwerk einen Kanal für sich selbst anfordert, und wobei das Netzwerk in Erwiderung auf die Anforderung auf einem gemeinsamen Zugangsbewilligungskanal, der für alle Endgerätevorrichtungen bestimmt ist, der Endgerätevorrichtung denjenigen Kanal bekannt macht, auf dem eine eigentliche Informationsübertragung erfolgen wird.These Invention relates to a generation of data transmission in a multiple access network, wherein the terminal device using a common access channel common to all terminal devices is determined, from the network requests a channel for itself, and wherein the network in response to the request on a common Access authorization channel for all terminal devices is determined, the terminal device announces the channel on which an actual information transmission will be done.

Hintergrund der Erfindungbackground the invention

Es ist ein allgemeines Prinzip bei Mehrfachzugang verwendenden Telekommunikationsnetzwerken, dass die Endgerätevorrichtung zur Nutzung von Diensten des Netzwerks das Netzwerk zuerst durch Verwendung eines gewissen Uplink- bzw. Aufwärtsstreckenzugangsverfahrens über sein Begehren informieren muss, Zugang zu dem Netzwerk zu erlangen. Dies erfolgt so, dass z.B. ein spezieller Kanal im Netzwerk als ein gemeinsamer Kanal für alle Endgerätevorrichtungen reserviert wird, die eine Anforderung auf diesem Kanal senden, um einen Dienst zu erhalten. Abhängig vom Netzwerk kann diese Anforderung einfach eine Anforderung enthalten, einen Kanal für eine Zweiwege-Datenübertragung zu bekommen, oder sie kann Informationen darüber enthalten, welcher besondere Dienst gewünscht ist, und möglicherweise auch Informationen über die gewünschte Kanalkapazität. Der Kanal kann ein Datenstromtyp- oder ein Paketkanal sein. Die Anforderungen weiterleitende Schicht wird gemäß dem OSI-Modell Medienzugangssteuerung-Teilschicht (MAC-Schicht) genannt und sie verwendet Dienste der physikalischen Schicht, um Dienste für die Steuerschicht der logischen Verbindung zu erzeugen.It is a general principle in multi-access telecommunication networks, that the terminal device to use services of the network the network first by using a certain uplink access method over Desire to provide access to the network. This such that e.g. a special channel in the network as a common Channel for all terminal devices which sends a request on this channel to get a service. Dependent from the network, this request may simply contain a request a channel for a two-way data transfer or it may contain information about which particular one Service desired is, and possibly also information about the desired Channel capacity. The channel may be a stream type or packet channel. The Requirements Forwarder layer is used according to the OSI Model Media Access Control Sublayer (MAC Layer) called and she uses physical layer services to Services for to generate the control layer of the logical connection.

Bei zellularen Netzwerken mit zeitüberlappendem Mehrfachzugang ist ein Kanal festgesetzt, auf dem alle Mobilstationen beim Bilden von einem Mobilgerät abgehender Rufe eine Anforderung für einen Verkehrskanal vom Netzwerk senden. Die Anforderung, die über den Funkpfad an die Basisstation und von dieser entlang eines Kabels an die Basisstationssteuerung weitergeleitet wird, enthält die Kennung IMSI der Mobilstation, so dass die Basisstationssteuerung weiß, von wem die Anforderung gekommen ist. Bei einem GSM-System wird ein solcher von allen verwendeter Kanal Zufallszugangskanal (RACH: „Random Access Channel") genannt. Sollten Kollisionen zwischen Anforderungen auf dem Kanal auftreten, wird die Mobilstation nach einem Augenblick erneut einen Versuch unternehmen, bis die Anforderung empfangen wird. Das Netzwerk sendet Bestätigungen bzw. Quittungen der Anforderungen an die Mobilstationen auf einem Kanal, den alle Mobilstationen abhören. Bei einem GSM-System wird dieser Kanal Zugangsbewilligungskanal (AGCH: „Access Grant Channel") genannt: die Bestätigung bzw. Quittung enthält die Kennung der Mobilstation, mittels der die Mobilstation weiß, dass die Nachricht für sie selbst bestimmt ist, sowie die Nummer des Kanals, der von dem Netzwerk als ein Verkehrskanal zugewiesen ist.at cellular networks with time-overlapping Multiple access is a channel fixed on which all mobile stations while making a mobile device outgoing calls a request for a traffic channel from the network send. The requirement that over the radio path to the base station and from this along a cable is forwarded to the base station controller, contains the identifier IMSI of the mobile station so that the base station controller knows from whom the request has come. In a GSM system, such is one of all channel used random access channel (RACH: "Random Access Channel ") called. Should there be collisions between requests on the channel, After a moment the mobile station will try again until the request is received. The network is sending confirmations or receipts of the requests to the mobile stations on one Channel that all mobile stations listen to. In a GSM system is this channel access grant channel (AGCH: "Access Grant Channel") called: the confirmation or receipt contains the identifier of the mobile station by which the mobile station knows that the message for her itself is determined, as well as the number of the channel, that of the network assigned as a traffic channel.

Ein Zugang in Übereinstimmung mit dem MAC-Protokoll wird auch bei interaktiven Kabel-TV-Systemen verwendet, bei denen ein gewünschter audiovisueller Dienst über ein Festnetzwerk an mehrere Abnehmer bzw. Empfänger übermittelt werden kann. Der physikalische Übermittlungspfad kann ein Koaxialkabel und/oder ein optisches Kabel oder ein Funknetzwerk sein, oder die Verteilung kann über einen Satelliten erfolgen. Bei dem System wird mit dem Namen Kopfstelle eine zentrale Stelle bezeichnet, wo ein ankommender Versand auf mehrere physikalische Signalpfade wie etwa mehrere Lichtleitfasern aufgeteilt wird, mittels derer der Versand näher zu den Verbrauchern gebracht wird. Bei den Systemen kann eine Übertragung sowohl in Downlink- bzw. Abwärtsstreckenrichtung als auch in Uplink- bzw. Aufwärtsstreckenrichtung in Zeitschlitzen erfolgen, die von Null beginnend und mit einer beliebigen max-Zahl endend nummeriert sind, nach der die Nummerierung erneut beginnt. Die Zeitschlitze 0, ..., max bilden einen Rahmen. Für Endgeräte, die in der Lage sein sollen, Informationen aufwärts zu senden, kann ein derartiger Kanal in der Aufwärtsstreckenrichtung verwendet werden, bei der die Zugangsform ALOHA ist, wobei alle Teilnehmer Anforderungen in jedem beliebigen Zeitschlitz senden können. Das Netzwerk bestätigt bzw. quittiert eine erfolgreiche Übertragung mittels Echoüberprüfung auf einem Abwärtsstreckenkanal. In der Aufwärtsstreckenrichtung kann wahlweise nur ein bestimmter Zeitschlitz zum Senden von Anforderungen verwendet werden. Dies stellt einen Schlitz-ALOHA-Zugangstyp dar. Es ist auch bei diesen Systemen für das Endgerät wesentlich, seine Bezeichner in seiner Zugangsnachricht einzubinden, so dass die Kopfstelle wissen kann, wer die Anforderung gesendet hat.One Access in accordance The MAC protocol is also used with interactive cable TV systems used where a desired audiovisual service via a fixed network can be transmitted to several customers or recipients. Of the physical transmission path can be a coaxial cable and / or an optical cable or a wireless network be, or the distribution can be over a satellite. The system is named Headend a central point indicates where an incoming shipment is on multiple physical signal paths, such as multiple optical fibers distributing them closer to consumers becomes. In systems, transmission in both downlink and or downlink direction as well as uplink or uplink direction in time slots starting from zero and with a numbered max number are numbered after the numbering starts again. The time slots 0, ..., max form a frame. For devices that may be able to send information upwards, such a Channel in the uplink direction be used, in which the access form is ALOHA, all Send subscribers requests in any timeslot can. The network confirmed or acknowledges a successful transmission via echo check a downlink channel. In the uplink direction can optionally use only a specific time slot to send requests become. This represents a slot ALOHA access type. It is also with these Systems for the terminal essential to include its identifiers in its access message, so the headend can know who sent the request Has.

Gemäß 1 ist es für Systeme des beschriebenen Typs charakteristisch, dass, wenn mehrere Endgerätevorrichtungen A mit einem Netzwerk B kommunizieren möchten, sie auf einem gemeinsamen Kanal U einen privaten Kanal anfordern. Die Anforderungsnachricht enthält die Kennung von Anforderer A. Das Netzwerkelement kann eine Authentisierung des Anforderers durchführen und, falls die Sache in Ordnung geht, wird es einen privaten Kanal T für den Anforderer zuweisen und Informationen über den Kanal entweder auf dem gleichen gemeinsamen Kanal U oder auf einem anderen gemeinsamen Rückleitungskanal D senden. Die Informationen enthalten die Kennung von Anforderer A. A empfängt die Nachricht und beginnt damit, auf dem zugewiesenen Kanal T zu kommunizieren.According to 1 It is characteristic of systems of the type described that when multiple terminal devices A want to communicate with a network B they request a private channel on a common channel U. The request message contains the identifier of requester A. The network element may perform an authentication of the requester and, if the matter is okay, there will be a private channel T for the requester and information send over the channel either on the same common channel U or on another common return channel D. The information includes the identifier of requester A. A receives the message and begins to communicate on the assigned channel T.

2 zeigt einen Austausch von Nachrichten, die bei einem bekannten GSM-Mobiltelefonsystem beim Netzwerkzugang verwendet werden. Möchte eine Mobilstation einen Ruf bilden, sendet sie auf einem einseitigen (Aufwärtsstreckenrichtungs-) Zufallszugangskanal (RACH) eine Kanalanforderung an die Basisstation, um einen Verkehrskanal (TCH: „Traffic Channel") zu ihrer Verfügung zu bekommen (Schritt 211). Die Anforderung enthält eine 5 Bit-Zufallszahl, die zunächst als die Kennung der Mobilstation fungiert. Die Basisstation empfängt die Anforderung (Schritt 213), und leitet sie an die Basisstationssteuerung weiter, die einen freien Kanal auswählt, diesen an der Basisstation aktiviert (Schritt 212) und dann eine Sofortige Zuordnung bildet, die die Basisstation auf einem Funkruf- und Zugangsbewilligungskanal (PAGCH: „Paging and Access Grant Channel") an die Mobilstation sendet (Schritt 214). Die Zuordnung enthält eine Beschreibung des zugewiesenen Kanals, einen voreingestellten Zeitsteuerungswert, den zu verwendenden Sendeleistungswert und die gleiche 5 Bit-Zufallszahl, die von der Mobilstation gesendet wurde, und auch die Zeitschlitznummer, mit der die Basisstation die Kanalanforderung empfangen hat. Mit diesen Informationen ist die Mobilstation in der Lage, die für sie selbst bestimmte Nachricht zu unterscheiden bzw. zu erkennen und wird den zugewiesenen Verkehrskanal erfahren (Schritt 215). 2 shows an exchange of messages that are used in a known GSM mobile phone system in the network access. If a mobile station wishes to make a call, it sends a channel request to the base station on a one-way (RACH) random access channel to get a Traffic Channel (TCH) available (step 211 ). The request contains a 5-bit random number which initially acts as the identifier of the mobile station. The base station receives the request (step 213 ), and forwards them to the base station controller, which selects a free channel, activates it at the base station (step 212 ) and then instantaneously allocate the base station on a Paging and Access Grant Channel (PAGCH) to the mobile station (step 214 ). The association includes a description of the assigned channel, a preset timing value, the transmit power value to use and the same 5-bit random number sent by the mobile station, and also the time slot number with which the base station received the channel request. With this information, the mobile station is able to distinguish the message intended for itself and will know the assigned traffic channel (step 215 ).

Die Mobilstation signalisiert dann die Verbindungsschicht-Anfangsnachricht, die den SABM-Rahmen enthält, auf dem Verkehrskanal an die Basisstation. In dieser Nachricht nennt die Mobilstation ihre Kennung IMSI ("International Mobile Subscriber Identity": Internationale Mobilteilnehmerkennung) oder ihre temporäre Mobilteilnehmerkennung (TMSI: "Temporary Mobile Subscriber Identity") (Schritt 224). Die Basisstation empfängt die Nachricht (Schritt 226) und bestätigt sie mit einer Antwortnachricht, deren UA-Rahmen die Kennung der Mobilstation enthält (Schritt 228). Die Mobilstation vergleicht ihre eigene Kennung mit der empfangenen Kennung (Schritt 223), und falls die Kennungen gleich bzw. gleichartig sind, wird sie wissen, dass der Verkehrskanal für sie selbst reserviert ist.The mobile station then signals the link layer initial message containing the SABM frame on the traffic channel to the base station. In this message, the mobile station calls its identifier IMSI (International Mobile Subscriber Identity) or its Temporary Mobile Subscriber Identity (TMSI) (step 224 ). The base station receives the message (step 226 ) and confirms them with a response message whose UA frame contains the identifier of the mobile station (step 228 ). The mobile station compares its own identifier with the received identifier (step 223 ), and if the identifiers are the same, they will know that the traffic channel is reserved for themselves.

Bevor ein Betrieb bzw. Vorgang begonnen wird, wird auch eine Authentisierung auf dem Prinzip durchgeführt, dass das Netzwerk eine Frage an die Mobilstation richtet, auf die nur die richtige Mobilstation die Antwort wissen wird. Die Authentisierung basiert auf einem Authentisierungsalgorithmus A3 und auf einem Teilnehmerspezifischen Authentisierungsschlüssel K_i. Im früheren Abschnitt einer Authentisierung sendet die Authentisierungsstelle AuC eine Frage an die Mobilstation, welche eine Zufallszahl RAND ist. Die Mobilstation empfängt die RAND, übermittelt sie an die SIM-Karte, die mit deren Hilfe und mit der Hilfe des Teilnehmer-spezifischen Schlüssels K_i den A3-Algorithmus auf der Karte durchführt. Das signierte Resultat (SRES) wird von der Mobilstation an das Netzwerk gesendet. Die Authentisierungsstelle AuC vergleicht den SRES-Wert mit dem Wert, den sie selbst unter Verwendung des gleichen A3-Algorithmus, der gleichen RAND und des gleichen Schlüssels K_i berechnet hat. Sind die SRESs identisch, ist die Authentisierung gebilligt, andernfalls wird dem Teilnehmer ein Zugang zu dem Netzwerk versagt. Die Mobilstation verwendet die empfangenen RAND- und K_i-Werte auch zum Berechnen eines verbindungsspezifischen Verschlüsselungsschlüssels Kc. Im Netzwerk führt die Authentisierungsstelle AuC den gleichen Algorithmus mit den gleichen Werten durch, was folglich zu dem gleichen Verschlüsselungsschlüssel führt. Beide speichern den Schlüssel in einen Speicher und die Mobilstation sendet den Schlüssel zusätzlich an die Authentisierungsstelle AuC, die ihn überprüft, um sicherzustellen, dass beide die gleichen Schlüssel verwenden.Before an operation is started, authentication is also performed on the principle that the network addresses a question to the mobile station, to which only the right mobile station will know the answer. The authentication is based on an authentication algorithm A3 and on a subscriber-specific authentication key K _i . In the earlier section of an authentication, the authentication center AuC sends a question to the mobile station, which is a random number RAND. The mobile station receives the RAND, transmits it to the SIM card which, with the help of it and with the aid of the subscriber-specific key K _i, performs the A3 algorithm on the card. The signed result (SRES) is sent from the mobile station to the network. The authentication site AuC compares the SRES value with the value calculated by itself using the same A3 algorithm, the same RAND, and the same key K _i . If the SRESs are identical, the authentication is approved, otherwise the subscriber is denied access to the network. The mobile station also uses the received RAND and K _i values to calculate a connection-specific encryption key Kc. In the network, the authentication center AuC executes the same algorithm with the same values, thus resulting in the same encryption key. Both store the key in a memory and the mobile station additionally sends the key to the authentication authority AuC, which checks it to make sure that both use the same keys.

Es ist ein nennenswertes Merkmal bei dem gemäß 2 gezeigten Prozess, dass die Mobilstation ihre eigene Kennung an das Netzwerk gesendet hat, bevor sie völlig sicher ist, dass der Verkehrskanal an sie selbst und an niemanden sonst zugewiesen ist.It is a significant feature in the according to 2 the process shown that the mobile station has sent its own identifier to the network before it is completely sure that the traffic channel is assigned to itself and to no one else.

Bei bekannten Systemen des gemäß 1 gezeigten Typs wird als gegeben angenommen, dass die Zugang anfordernde Partei A selbstverständlich weiß, dass Netzwerkelemente B genau das ist, von dem A ausgeht, dass es ist, und dass Netzwerkelement B nicht bezweifeln wird, dass die das empfangene Symbol verwendende Endgerätevorrichtung Endgerätevorrichtung A ist.In known systems of according to 1 of course, it is assumed that the access requesting party A knows, of course, that network elements B is exactly that A is that it is and that network element B will not doubt that the terminal device using the received symbol is terminal device A. ,

Bei diesen Systemen besteht ein Problem darin, dass das Netzwerk die Authentisierung immer durchführt. Es ist hiermit für einen Dritten möglich, zwischen die identifizierende Partei und die zu identifizierende zu kommen, um die ersten Nachrichten abzuhören bzw. zu belauschen und sich selbst an die Stelle der anderen Partei zu stellen. Dies ist insbesondere dann möglich, wenn ein Teil des Übertragungspfads zwischen A und B ein Funkpfad ist, was bei Mobiltelefonnetzwerken der Fall ist, aber bei Festnetzwerken kann sich ein Dritter gleichermaßen an die Leitung anschließen und den Verkehr abhören bzw. belauschen. Es ist hiermit für den Dritten möglich, eine von Endgerätevorrichtung A gesendete Kanalanforderungsnachricht zu erbeuten und aus dieser die Anforderung und vor allem die Kennung von A auszuwerten. Er wird dann auf die eine oder andere Art und Weise Endgerätevorrichtung A eliminieren und ihren Platz einnehmen. Er empfängt dann die vom Netzwerkelement gesendete Kanalzuweisungsnachricht, verbindet sich mit dem Kanal, wobei er vorgibt, Endgerätevorrichtung A zu sein, und erlangt so Zugang zu dem Netzwerk. Für Netzwerkelement B gibt es keine Möglichkeit zu wissen, dass es anstelle der authentischen bzw. echten Endgerätevorrichtung A mit einem Dritten kommuniziert.One problem with these systems is that the network always performs the authentication. It is thus possible for a third party to come between the identifying party and those to be identified in order to listen to the first messages and to replace themselves with the other party. This is particularly possible if part of the transmission path between A and B is a radio path, which is the case with mobile telephone networks, but with fixed networks, a third party can equally connect to the line and intercept or eavesdrop on the traffic. It is hereby possible for the third party to capture a channel request message sent by terminal device A and to evaluate from this the request and above all the identifier of A. He will then go to one or the other eliminate the terminal device A and take its place. It then receives the channel assignment message sent by the network element, connects to the channel, pretending to be terminal device A, and thus gains access to the network. For network element B, there is no way to know that it communicates with a third party instead of the authentic terminal device A.

Es ist auch für Netzwerkelement B möglich, der Betrüger bzw. Schwindler zu sein. Hierbei übergibt Endgerätevorrichtung A, wenn sie Kontakt zu Netzwerkelement B aufnimmt, in der ersten Nachricht sofort ihre Kennungsdaten. B weiß somit, wer A ist, aber A weiß nicht, dass B nur vorgibt, B zu sein. Eine derartige Situation ist z.B. bei Mobilstationsnetzwerken möglich, wobei eine "falsche" Basisstation den Platz der authentischen bzw. echten einnehmen und dadurch den Funkverkehr abhören und kontrollieren kann.It is also for Network element B possible, the deceiver or to be a swindler. Here, terminal device transfers A, when making contact with network element B, in the first Message your ID data immediately. So B knows who A is, but A I do not know, that B only pretends to be B Such a situation is e.g. possible with mobile station networks, where a "wrong" base station is the Place of authentic or real occupancy and thus the radio traffic monitor and can control.

Die Patentveröffentlichung EP-0 651 533 A2 offenbart ein Verfahren und eine Vorrichtung für Geheimhaltung bzw. Datenschutz und Authentisierung in einem drahtlosen Mobilfunknetzwerk. Die EP-0 651 533 A2 verwendet Zertifikate einschließlich öffentlicher Schlüssel nebst privaten Schlüsseln eines Mobilgeräts und einer Basisstation.The Patent publication EP-0 651 533 A2 discloses a method and an apparatus for confidentiality or privacy and authentication in a wireless mobile network. EP-0 651 533 A2 uses certificates including public key along with private keys a mobile device and a base station.

Mit Systemen gemäß dem Stand der Technik ist es nicht möglich, Situationen wie die vorstehend beschriebenen zu verhindern. Die Erfindung zielt daher auf ein Verfahren ab, mittels dem es möglich ist, die beschriebenen Situationen zu verhindern, und insbesondere auf einen derartigen Fall, bei dem die Endgerätevorrichtung ihre Kennung niemals an irgendeinen Dritten offenbart, der den Verkehr zwischen der Endgerätevorrichtung und dem Netzwerkelement abhört bzw. belauscht, und bei der die Endgerätevorrichtung ihre Kennung nur dann offenbaren wird, wenn sie sicher ist, dass das Netzwerkelement wirklich dasjenige ist, das es selbst erklärt zu sein, wodurch das Netzwerkelement, wenn es ein Betrüger bzw. Schwindler ist, niemals die wahre Kennung der Endgerätevorrichtung kennen wird.With Systems according to the state the technology is not possible To prevent situations such as those described above. The The invention therefore aims at a method by means of which it is possible to use the situations, and in particular one such case where the terminal device has its identifier never disclosed to any third party, the traffic between the terminal device and listening to the network element and in which the terminal device receives its ID only if it is sure that the network element really will reveal that is, to be self-explanatory whereby the network element, if it's a scammer or dodger is never the true identifier of the terminal device will know.

Das Verfahren gemäß der Erfindung ist durch die in den unabhängigen Ansprüchen definierter Merkmale gekennzeichnet.The Method according to the invention is through in the independent claims marked features defined.

Kurze Übersicht der ErfindungShort overview the invention

Das vorgeschlagene Verfahren beruht auf der Tatsache, dass das Festlegungsprotokoll eine aus der Kryptografie bekannte (verbindliche) Bitfestlegung und einen geteilten bzw. gemeinsamen Verschlüsselungsschlüssel anwendet, und dass eine Authentisierung in zwei aufgeteilt wird, wobei ein Teil der Authentisierung von der Endgerätevorrichtung vorgenommen wird und der andere Teil vom Netzwerk vorgenommen wird. Die Endgerätevorrichtung stellt zunächst sicher, dass das Netzwerkelement authentisch ist, indem eine Authentisierung des Netzwerkelements durchgeführt wird. In diesem Zusammenhang wird das Netzwerkelement seine eigene Kennung offenbaren. Dann gibt die Endgerätevorrichtung dem Netzwerkelement ihre eigene Kennung preis, indem die notwendigen Informationen auf einem geschützten Kanal gesendet werden. Schließlich authentisiert das Netzwerkelement die Endgerätevorrichtung durch Verwendung der Kennungsinformationen, die sie offenbart hat. Erst danach kann Verkehr begonnen werden.The proposed method is based on the fact that the specification protocol a (mandatory) bit definition known from cryptography and applies a shared encryption key, and that an authentication is split into two, with one Part of the authentication of the terminal device is made and the other part is done by the network. The terminal device provides first Make sure that the network element is authentic by performing an authentication of the network element becomes. In this context, the network element becomes its own identifier reveal. Then there is the terminal device the network element their own identifier price by the necessary Information on a protected Channel to be sent. After all the network element authenticates the terminal device by use the identification information that revealed it. Only then can traffic to be started.

Die Zugang anfordernde Endgerätevorrichtung erzeugt im Festlegungsprotokoll zuerst eine Pseudokennung für sich selbst, die sie durch Anwenden einer einseitigen Hash-Funktion auf ihre richtige Kennung bildet. Die Hash-Funktion wird nicht auf die Kennung an sich angewandt, sondern die richtige Kennung wird zuerst verschlüsselt. Dadurch kann das Netzwerk oder das Netzwerkelement bei Empfang der Pseudokennung die richtige Kennung nicht ohne den Code kennen lernen. Hat das Netzwerkelement der Endgerätevorrichtung den Verkehrskanal genannt, von der es in diesem Stadium nur die Pseudokennung kennt, wird die Endgerätevorrichtung ihre eigene Sicherheitsschlüsselhälfte erzeugen, das heißt, den ersten Teilschlüssel, und wird diesen an das Netzwerk senden. Bei Empfang des Teilschlüssels wird das Netzwerkelement ebenfalls seine eigene Sicherheitsschlüsselhälfte bilden, das heißt, den zweiten Teilschlüssel. Es sendet diesen an die Endgerätevorrichtung der Pseudokennung, wodurch beide Parteien in diesem Stadium beide Teilschlüssel in ihrem Besitz haben werden.The Access requesting terminal device creates in the commit log first a dummy tag for itself, which it forms by applying a one-way hash function to its proper identifier. The hash function is not applied to the identifier itself, but the correct identifier is encrypted first. This will allow the network or network element to receive the Pseudo-ID does not get to know the correct ID without the code. If the network element of the terminal device has called the traffic channel, of which it only knows the pseudo identifier at this stage, the terminal device create your own security key half, this means, the first subkey, and will send it to the network. Upon receipt of the subkey is the network element also form its own security key half, this means, the second subkey. It sends this to the terminal device the pseudo-identification, causing both parties at this stage both subkey be in their possession.

Die Endgerätevorrichtung überprüft, ob die vom Netzwerkelement empfangene Pseudokennung und die Pseudokennung, die sie vorher selbst gebildet hat, identisch sind, und falls sie das sind, wird sie eine Authentisierung des Netzwerkelements auf eine bekannte Art und Weise durchführen.The Terminal device checks if the from Network element received pseudo-identifier and the dummy identifier, which she previously formed herself are identical, and if they are that is, it will authenticate the network element perform a known manner.

Nach der Authentisierung hat das Netzwerkelement sich selbst der Endgerätevorrichtung preisgegeben, aber die tatsächliche Kennung der Endgerätevorrichtung ist immer noch nur der Endgerätevorrichtung bekannt. Das Netzwerkelement wird die tatsächliche Kennung nicht kennen lernen, bis ihm die Endgerätevorrichtung Informationen darüber gesendet hat, wie die wahre Kennung vor der Verwendung der Hash-Funktion verschlüsselt wurde.To In authentication, the network element itself has the terminal device abandoned, but the actual Identification of the terminal device is still only the terminal device known. The network element will not know the actual identifier learn to give him the terminal device Information about it has sent as the true identifier before using the hash function encoded has been.

Die Endgerätevorrichtung sendet nun ihre eigene wahre Kennung an das Netzwerkelement. Zu diesem Zweck bildet die Endgerätevorrichtung eine Nachricht, die enthält: a) ihre wahre Kennung, b) Informationen darüber, wie die wahre Kennung vor Anwendung der Hash-Funktion verschlüsselt wurde. Sie verschlüsselt die Nachricht, bevor sie sie versendet, durch. Verwendung eines Schlüssels, der sowohl aus dem ersten als auch aus dem zweiten Teilschlüssel gebildet ist.The terminal device now sends its own true identifier to the network element. For this purpose, the terminal device forms a message containing: a) its true identifier, b) information about how the true identifier precedes An the hash function was encrypted. She encrypts the message before sending it through. Use of a key formed from both the first and the second subkeys.

Das Netzwerkelement empfängt die Nachricht, decodiert sie unter Verwendung des ersten und des zweiten Teilschlüssels und überprüft, ob die Inhalte der Nachricht richtig sind. Falls sie das sind, wird das Netzwerkelement mittels eines bekannten Verfahrens eine Authentisierung der Endgerätevorrichtung durchführen.The Network element receives the message, it decodes using the first and the second subkey and check if the Contents of the message are correct. If they are, the network element becomes by means of a known method an authentication of the terminal device carry out.

Nach einem erfolgreich durchgeführten Festlegungsprotokoll und einer gegenseitigen Authentisierung kann Verkehr auf dem Verkehrskanal begonnen werden.To a successful one Fixing protocol and a mutual authentication can Traffic on the traffic channel to be started.

Liste von FigurenList of characters

Die Erfindung wird unter Bezugnahme auf die beigefügten schematischen Zeichnungen ausführlicher beschrieben, bei denen zeigen:The The invention will be made with reference to the accompanying schematic drawings in more detail described in which show:

1 einen Nachrichtenaustausch gemäß dem Stand der Technik; 1 a message exchange according to the prior art;

2 einen Nachrichtenaustausch in einem Mobiltelefonsystem; 2 a message exchange in a mobile telephone system;

3 ein Festlegungsprotokoll gemäß der Erfindung; und 3 an appointment protocol according to the invention; and

4 einen Austausch von Nachrichten. 4 an exchange of messages.

Ausführliche Beschreibung der ErfindungFull Description of the invention

3 zeigt ein Verfahren gemäß der Erfindung, wie es auf ein zellulares GSM-System angewandt wird. Es enthält daher die gleichen Elemente wie der gemäß 2 gezeigte grundlegende Vorgang, weshalb die Beschreibung bei Bedarf auch auf 2 Bezug nimmt. 3 shows a method according to the invention as applied to a GSM cellular system. It therefore contains the same elements as the one according to 2 shown basic process, which is why the description on demand too 2 Refers.

Das bei der Erfindung zu verwendende Festlegungsprotokoll benötigt fünf Schritte, von denen jeder aus der Kryptografie bekannt ist:

1. Bitblockfestlegung,
2. Austausch von Schlüsseln,
3. Identifizierung des Netzwerkelements,
4. Preisgeben der Kennung der Endgerätevorrichtung an das Netzwerkelement, und
5. Identifizierung der Endgerätevorrichtung.

The scheduling protocol to be used in the invention requires five steps, each of which is known from cryptography:

1st bit block specification,
2. exchange of keys,
3. identification of the network element,
4. releasing the identifier of the terminal device to the network element, and
5. Identification of the terminal device.

Das Verfahren einer Bitblockfestlegung ist ausführlich in einem Buch von Bruce Schneier beschrieben: "Applied Cryptography, Second Edition, Protocols, Algorithms, and Source Code in C", John Wiley & Sons; Inc., 1996, ISBN 0-471-11709-9. Das Verfahren läuft so ab, dass:

1) Partei A zuerst Zufallsbitfolgen R1 und R2 bildet.
2) Dann bildet sie eine Nachricht, die diese Zufallsbitfolgen und diejenige Bitfolge S (z.B. eine Kennung, eine beliebige Nachricht oder etwas anderes) enthält, die sie an Partei B übergeben möchte, jedoch derart, dass Partei B Bitfolge S nicht ohne die Erlaubnis von A kennen lernen wird. Zufallsbitfolgen R1 und R2 sowie Kennung S werden einfach hintereinander in der Nachricht angeordnet.
3) Partei A wendet eine einseitige Hash-Funktion h auf die Nachricht an und sendet das Ergebnis h(R1, R2, S) sowie eine der Zufallsfolgen, z.B. R1, an Partei B. Diese Übertragung beweist B, dass A tatsächlich Bitfolge S gesendet hat. Die Verwendung einer einseitigen Hash-Funktion verhindert, dass B die Funktion umkehrt, und aus diesem Grund kann B, obwohl sie die Hash-Funktion und eine Zufallsfolge R1 kennt, Bitfolge S nicht kennen lernen, weil die andere Zufallsfolge R2 mit einer Hash-Funktion verarbeitet bzw. zerlegt ist.
4) Wenn es für Partei A Zeit ist, Bitfolge S zu offenbaren, wird sie die ursprüngliche Nachricht (R1, R2, S) an Partei B senden.
5) Partei B wendet eine einseitige Hash-Funktion auf diese Nachricht an und vergleicht das Ergebnis und Zufallsfolge R1 mit dem, was Partei A bereits früher in Schritt 3) gesendet hat. Falls alles übereinstimmt, ist die empfangene Folge S korrekt.

The method of bitmap designation is described in detail in a book by Bruce Schneier: "Applied Cryptography, Second Edition, Protocols, Algorithms, and Source Code in C.", John Wiley &Sons; Inc., 1996, ISBN 0-471-11709-9. The procedure is such that:

1) Party A first forms random bit strings R1 and R2.
2) Then it forms a message containing these random bit strings and the bit string S (eg an identifier, any message or something else) that it wishes to hand over to party B, but such that party B does not execute string S without the permission of Get to know A Random bit sequences R1 and R2 and identifier S are simply arranged one behind the other in the message.
3) Party A applies a one-way hash function h to the message and sends the result h (R1, R2, S) as well as one of the random sequences, eg R1, to party B. This transmission proves B that A actually sent string S Has. The use of a one-way hash function prevents B from reversing the function, and for this reason, although B knows the hash function and a random sequence R1, B can not get to know bit string S because the other random sequence R2 has a hash function processed or disassembled.
4) If it is time for party A to reveal bit string S, it will send the original message (R1, R2, S) to party B.
5) Party B applies a one-way hash function to this message and compares the result and random sequence R1 with what Party A previously sent in step 3). If everything matches, the received sequence S is correct.

Bei diesem bekannten Verfahren sendet Partei B nicht einmal die erste Nachricht. Es ist eine bekannte Eigenschaft der einseitigen Hash-Funktion, dass sie aus einer binären Folge beliebiger Länge eine Folge fester Länge erzeugen wird, nämlich "einen sicheren Fingerabdruck". Wenn hierbei gilt H = h(M), wobei M eine binäre Folge beliebiger Länge ist, h eine einseitige Hash-Funktion ist und H eine binäre Folge fester Länge ist, wird das folgende gelten: a) ist M gegeben, kann H einfach berechnet werden, b) ist H gegeben, ist es unmöglich, ein derartiges M zu finden, dass h(M) = H wahr wäre, c) ist M gegeben, ist es unmöglich, ein derartiges M' zu finden, dass h(M') = h(M) wahr wäre, und d) es ist unmöglich, zwei Zufallsfolgen M und M' zu finden, so dass h(M) = h(M') wahr wäre.at In this known method, party B does not even send the first one Message. It is a well known feature of the one-sided hash function that she out of a binary Follow any length one Sequence of fixed length will generate, namely "a secure fingerprint". If this applies H = h (M), where M is a binary Sequence of any length is, h is a one-way hash function and H is a binary sequence fixed length is, the following will apply: a) If M is given, H can be simple b) If H is given, it is impossible to assign such an M find that h (M) = H would be true c) If M is given, it is impossible such an M 'too find that h (M ') = h (M) would be true and d) it is impossible two random sequences M and M ' so that h (M) = h (M ') true would.

Von bekannten Hash-Funktionen, die bei dieser Erfindung verwendet werden können, können SHA ("Secure Hash Algorithm") und MD5 ("Message Digest Algorithm 5") erwähnt werden, aber es ist natürlich prinzipiell möglich, jede beliebige Art einer anderen bekannten Hash-Funktion zu verwenden.From known hash functions used in this invention can, can SHA ("Secure Hash Algorithm") and MD5 ("Message Digest Algorithm 5 "), but it is natural in principle possible, to use any kind of another known hash function.

Der Zweck des beim Festlegungsprotokoll verwendeten Schlüsselaustauschalgorithmus besteht darin, einen Verschlüsselungsschlüssel für zwei oder mehr Parteien zu bilden, selbst wenn zwischen den Parteien kein sicherer Übermittlungskanal existiert. Der Diffie-Hellman-Schlüsselaustausch, der in der vorstehend genannten Veröffentlichung beschrieben ist, und der RSA-Verschlüsselungsalgorithmus für öffentliche Schlüssel sind zur Verwendung bei dieser Erfindung gut geeignet.The purpose of the key exchange algorithm used in the commit protocol is to encrypt one encryption key for two or more parties, even if there is no secure transmission channel between the parties. The Diffie-Hellman key exchange described in the above publication and the RSA public key encryption algorithm are well suited for use with this invention.

Das Festlegungsprotokoll gemäß der Erfindung wird nun unter Bezugnahme auf 3 beschrieben. Statt nur eine Zufallszahl in der Kanalanforderungsnachricht auf dem Rufkanal zu senden sendet die Mobilstation eine Pseudokennung AMSI. Diese bildet sie wie folgt durch Verwendung der einseitigen Hash-Funktion (Schritt 311, 3): AMSI = h(IMSI, RND1, RND2),wobei h eine beliebige einseitige Hash-Funktion ist, IMSI die tatsächliche Kennung der Mobilstation ist, die erste Zufallszahl RND₁ eine Folge binärer Ziffern endlicher Länge ist, während die zweite Zufallszahl RND₂ eine Folge binärer Ziffern endlicher Länge ist. Daher ist die tatsächliche Kennung in gewisser Hinsicht mit der ersten und der zweiten Zufallszahl durch einfaches Anordnen der Zahlen und der Kennung in einer Aufeinanderfolge codiert, um eine Verkettung zu bilden, und die Hash-Funktion wird auf die Verkettung angewandt. Die Mobilstation sendet ihre Pseudokennung AMSI und die erste Zufallszahl RND₁ über das Übertragungsnetzwerk an das Netzwerkelement (Schritt 312).The setting protocol according to the invention will now be described with reference to FIG 3 described. Instead of sending only a random number in the channel request message on the paging channel, the mobile station sends a pseudo ID AMSI. This forms them as follows by using the one-way hash function (step 311 . 3 ): AMSI = h (IMSI, RND 1 , RND 2 ) where h is an arbitrary one-way hash function, IMSI is the actual identifier of the mobile station, the first random number RND _{1 is} a sequence of binary digits of finite length while the second random number RND _{2 is} a sequence of binary digits of finite length. Therefore, in some sense, the actual identifier is encoded with the first and second random numbers by simply arranging the numbers and the identifier in a sequence to form a concatenation, and the hash function is applied to the concatenation. The mobile station sends its pseudo ID AMSI and the first random number RND ₁ to the network element via the transmission network (step 312 ).

Es sollte beachtet werden, dass das Übertragungsnetzwerk abhängig davon, ob das Netzwerkelement eine Basisstation, eine Basisstationssteuerung oder eine Mobiltelefonvermittlung meint, entweder einfach ein Funkpfad oder eine Kombination von Funkpfad und Kabelnetzwerk sein kann. Die wesenhafte Beschaffenheit des Netzwerkelements ist für die Erfindung nicht wesentlich.It should be noted that the transmission network depends on whether the network element is a base station, a base station controller or a mobile telephone exchange means either simply a radio path or a combination of radio path and cable network. The essential nature of the network element is for the invention not essential.

Die Basisstationssteuerung empfängt eine von der Basisstation weitergeleitete Kanalanforderungsnachricht, die eine Pseudokennung AMSI enthält (Schritt 313), woraufhin sie wie bei dem bekannten Verfahren, das heißt in Schritt 23 gemäß 2, eine Auswahl und Aktivierung des Verkehrskanals durchführt und auf die normale Art und Weise eine Kanalzuweisungsnachricht versendet, worin der zugewiesene Verkehrskanal angegeben ist (Schritt 314).The base station controller receives a channel request message forwarded from the base station, which contains a dummy identifier AMSI (step 313 ), whereupon, as in the known method, that is, in step 23 according to 2 , performs a selection and activation of the traffic channel and sends a channel assignment message in the normal manner, wherein the assigned traffic channel is indicated (step 314 ).

Dann werden im Festlegungsprotokoll einige Arbeitsvorgänge durchgeführt, bevor die tatsächliche Kennung IMSI preisgegeben wird. Die Mobilstation erstellt zuerst ihren eigenen Sicherheitsschlüssel MKEY, der hier als der erste Teilschlüssel bezeichnet wird (Schritt 315). Im ersten Teilschlüssel enthaltene Informationen werden beim später durchzuführenden Schlüsselaustauschvorgang verwendet. Sie platziert den Teilschlüssel, den sie gebildet hat, in der abgehenden Nachricht und sie signalisiert die Nachricht auf dem angegebenen Verkehrskanal an die Basisstation (Schritt 316).Then, in the scheduling protocol, some operations are performed before the actual identifier IMSI is revealed. The mobile station first creates its own security key MKEY, referred to herein as the first subkey (step 315 ). Information contained in the first subkey is used in the key exchange process to be performed later. It places the subkey that it has formed in the outgoing message and signals the message on the specified traffic channel to the base station (step 316 ).

Das Netzwerkelement empfängt den ersten Teilschlüssel der Nachricht (Schritt 317). Es erstellt dann seinen eigenen Sicherheitsschlüssel BKEY, der hier als der zweite Teilschlüssel bezeichnet wird (Schritt 318). Im zweiten Teilschlüssel enthaltene Informationen werden beim später durchzuführenden Schlüsselaustauschvorgang verwendet. Es bildet dann eine Bestätigungsnachricht, die die Pseudokennung AMSI, die es vorher empfangen hat, und den zweiten Verschlüsselungsschlüssel BKEY enthält, den es gebildet hat, und es sendet eine Bestätigungsnachricht an die Mobilstation (Schritt 320).The network element receives the first subkey of the message (step 317 ). It then creates its own security key BKEY, referred to here as the second subkey (step 318 ). Information contained in the second subkey is used in the key exchange process to be performed later. It then forms an acknowledgment message containing the dummy identifier AMSI which it has previously received and the second encryption key BKEY it has formed and sends an acknowledgment message to the mobile station (step 320 ).

Die Mobilstation empfängt die Bestätigungsnachricht (Schritt 321), und trennt die Bestandteile deren Inhalte. Sie untersucht zuerst, ob die Pseudokennung AMSI, die in der Nachricht enthalten ist, die gleiche ist wie die Pseudokennung AMSI, die sie selbst in Schritt 311 erzeugt hat. Ergibt der Vergleich (Schritt 322), dass die Pseudokennungen unterschiedlich sind, wird die Mobilstation wissen, dass der in Schritt 314 angegebene Verkehrskanal nicht für sie selbst bestimmt war, weshalb sie den Zugangsprozess von Beginn an, von Schritt 311, starten muss. Ergibt der Vergleich, dass die Pseudokennungen identisch sind, wird die Mobilstation wissen, dass der in Schritt 314 angegebene Verkehrskanal tatsächlich für sie selbst bestimmt ist.The mobile station receives the confirmation message (step 321 ), and separates the components of their contents. It first examines whether the pseudo-identifier AMSI contained in the message is the same as the pseudo-identifier AMSI itself in step 311 has generated. Returns the comparison (step 322 ), that the pseudo identifications are different, the mobile station will know that in step 314 given traffic channel was not intended for them, which is why they have the access process from the beginning, by step 311 , must start. If the comparison shows that the pseudo identifiers are identical, the mobile station will know that the one in step 314 specified traffic channel is actually intended for them.

Im folgenden Schritt 323 führt die Mobilstation eine Authentisierung des Netzwerkelements durch, um sicherzustellen, dass das Netzwerkelement, in diesem Fall eine Basisstation, tatsächlich dasjenige ist, was es beansprucht zu sein. Der Authentisierungsvorgang kann jeder beliebige Vorgang sein, z.B. ist der heutzutage beim GSM-System verwendete Authentisierungsvorgang geeignet.In the following step 323 The mobile station performs authentication of the network element to ensure that the network element, in this case a base station, is actually what it claims to be. The authentication process can be any process, eg the authentication process used today in the GSM system is suitable.

Nach einer erfolgreichen Authentisierung weiß die Mobilstation, dass sie es mit einer tatsächlichen Basisstation zu tun hat und nicht mit einem Betrüger bzw.To A successful authentication, the mobile station knows that they it with an actual Base station and not with a scam or

Schwindler, weshalb es Zeit für sie ist, ihre wahre Kennung preiszugeben. Zu diesem Zweck bildet sie eine Nachricht, die die tatsächliche Kennung IMSI (oder die temporäre Kennung TMSI, falls vorhanden), die erste Zufallszahl RND₁ und die zweite Zufallszahl RND₂ enthält. Demnach ist die Nachricht die gleiche wie diejenige, auf die sie in Schritt 311 die Hash-Funktion angewandt hat. Schließlich verschlüsselt sie die gesamte Nachricht mit Verschlüsselungsschlüssel BMKEY, der aus dem ersten Teilschlüssel MKEY und dem zweiten Teilschlüssel BKEY gebildet ist (Schritt 324). Die Mobilstation sendet diese mittels eines Schlüssels verschlüsselte Nachricht an das Netzwerk (Schritt 325).Phlegm, why it's time for them to reveal their true identity. For this purpose, it forms a message containing the actual identifier IMSI (or the temporary identifier TMSI, if present), the first random number RND ₁ and the second random number RND ₂ . Thus, the message is the same as the one to which you step in 311 has used the hash function. Finally, it encrypts the entire message with encryption key BMKEY, which consists of the first subkey MKEY and the second subkey BKEY is formed (step 324 ). The mobile station sends this key encrypted message to the network (step 325 ).

Nun also ist es Zeit für das Netzwerkelement, herauszufinden, welche die wahre Kennung der Mobilstation ist. Zuerst decodiert das Netzwerkelement (Schritt 326) die verschlüsselte Nachricht durch Verwendung von Sicherheitsschlüssel BMKEY, der eine Kombination des zweiten Teilschlüssels BKEY, den es in Schritt 318 selbst erzeugt hat, und des ersten Teilschlüssels MKEY ist, der in Schritt 317 von der Mobilstation empfangen wurde. Das Netzwerkelement führt dann eine Überprüfung der Gültigkeit von in der Nachricht enthaltenen Bestandteilen durch (Schritt 327). Zuerst berechnet es das Ergebnis der Formel AMSI = h(ISMI; RND₁, RND₂), das durch Verwendung von Bestandteilen der Nachricht berechnet wird. Es untersucht dann, ob die mittels der Formel erzeugte AMSI die gleiche ist wie diejenige, die sie vorher in Schritt 313 von der Mobilstation empfangen hat. Schließlich überprüft es, ob die zweite Zufallszahl RND₁, die in der Nachricht angegeben ist, die gleiche ist wie diejenige, die es in Schritt 313 empfangen hat. Sind alle AMSIs exakt identisch und stimmen die zweiten Zufallszahlen überein, wird das Netzwerkelement versichert sein, dass die Mobilstation genau die gleiche ist wie die zu Beginn des Prozesses fragliche. Stimmen die empfangenen Werte bei der Überprüfung nicht vollständig überein, wird das Netzwerkelement das Zugangsprotokoll unterbrechen und den Verkehrskanal der Verwendung durch diese Sitzung entziehen, wodurch er einer beliebigen anderen Verbindung zugewiesen werden kann.So now it's time for the network element to find out which is the true identifier of the mobile station. First, the network element decodes (step 326 ) the encrypted message by using security key BMKEY, which is a combination of the second subkey BKEY, it in step 318 has generated itself, and the first subkey MKEY is in step 317 received by the mobile station. The network element then checks for the validity of components contained in the message (step 327 ). First, it calculates the result of the formula AMSI = h (ISMI; RND ₁ , RND ₂ ), which is calculated by using parts of the message. It then examines whether the AMSI generated by the formula is the same as the one it had previously in step 313 received from the mobile station. Finally, it checks to see if the second random number RND ₁ given in the message is the same as the one it did in step 313 has received. If all AMSIs are exactly identical and the second random numbers match, the network element will be assured that the mobile station is exactly the same as the one in question at the beginning of the process. If the received values do not match completely during the check, the network element will interrupt the access protocol and deprive the traffic channel of use by this session, allowing it to be assigned to any other connection.

Ist bis hierher alles in Ordnung, wird das Netzwerkelement auch eine Authentisierung der Mobilstation durchführen. Ergibt die Authentisierung ein ordnungsgemäßes Ergebnis, kann Verkehr auf dem angegebenen Verkehrskanal beginnen.is So far everything is fine, the network element becomes one too Authenticate the mobile station. Returns the authentication a proper result, can start traffic on the specified traffic channel.

Das Signaldiagramm gemäß 4 zeigt Nachrichten, die bei dem gemäß 3 gezeigten Vorgang auf dem Funkpfad zwischen Mobilstation MS und Basisstation BTS ausgetauscht werden. Mit Ausnahme von Authentisierungsnachrichten gibt es bei dem vorgeschlagenen Verfahren im Vergleich zu einem GSM-System gemäß dem Stand der Technik fast keinen Austausch von Nachrichten mehr. Die in den Nachrichten ausgetauschten Hauptinformationen sind gemäß der Figur in runden Klammern gezeigt. Die Kanäle sind ebenfalls gekennzeichnet und, wie festgestellt werden kann, wird ein Großteil der Nachrichten auf dem Verkehrskanal signalisiert.The signal diagram according to 4 shows messages that in the according 3 shown process are exchanged on the radio path between mobile station MS and base station BTS. With the exception of authentication messages, there is almost no exchange of messages in the proposed method as compared to a prior art GSM system. The main information exchanged in the messages is shown in parentheses according to the figure. The channels are also labeled and, as can be seen, much of the messages on the traffic channel are signaled.

Der Zweck der Authentisierung des Netzwerkelements, z.B. der Basisstation, in Schritten 323 gemäß 3 und 4 besteht darin, die Endgerätevorrichtung, z.B. die Mobilstation, mit einer Möglichkeit zu versehen, zu überprüfen, dass sie sich den geheimen Schlüssel MBKEY mit einem ehrlichen Netzwerkelement teilt, mit anderen Worten, dass das Netzwerkelement ein solches Betreiberzertifikat aufweist, dem die Endgerätevorrichtung vertraut. Eine Authentisierung des Netzwerkelements wird durch den Umstand eingeschränkt, dass die Endgerätevorrichtung eine Authentisierung basierend nur auf denjenigen Informationen durchführen muss, die das Netzwerkelement bereitstellt. ISO-Standard X.509 bietet eine Menge von Authentisierungsprotokollen dar, die zur Verwendung bei diesem Verfahren geeignet sind. Eine kurze Beschreibung eines geradlinigen Protokolls basierend auf Zertifikat und digitaler Signatur wird als ein Beispiel eines möglichen Protokolls angegeben, mittels dem die Mobilstation die Beziehung der Basisstation und des Schlüssels MBKEY sicherstellen kannThe purpose of the authentication of the network element, eg the base station, in steps 323 according to 3 and 4 consists in providing the terminal device, eg the mobile station, with a possibility to check that it shares the secret key MBKEY with an honest network element, in other words that the network element has such an operator certificate to which the terminal device trusts. Authentication of the network element is limited by the fact that the terminal device must perform an authentication based only on the information provided by the network element. ISO standard X.509 provides a set of authentication protocols suitable for use with this method. A brief description of a straightforward protocol based on certificate and digital signature is given as an example of a possible protocol by which the mobile station can ensure the relationship of the base station and the key MBKEY

1. MS sends a random sequence of binary digits RDN 3 to the base station.
2. The base station receives the RDN 3 and creates a message containing a certificate and the RDN 3 . It signs the message with a digital signature and then encrypts the message by using the MBKEY key and sends the message to the mobile station.
3. The mobile station decodes the encrypted message, verifies the signature, the signature on the certificate, and make sure that in the message sent episode randomly Digits the same as the one they previously sent to the base station Has. Traverses the message all these checks, Authentication has given a positive result.

Der Zweck der Authentisierung einer Endgerätevorrichtung, z.B. einer Mobilstation, durch das Netzwerkelement in gemäß 3 und 4 gezeigtem Schritt 328 besteht darin, einem ehrlichen Netzwerkelement eine Möglichkeit zu geben, sicherzustellen, dass es sich einen gemeinsamen sicheren Schlüssel (MBKEY) mit einem derartigen Endgerätevorrichtungsteil teilt, dessen Kennung (IMSI/TMSI) genau diejenige ist, die die Endgerätevorrichtung in ihrer die wahre Kennung preisgebenden Nachricht in Schritt 325 gemäß 3 gesendet hat. Die Authentisierung unterscheidet sich von der durch die Endgerätevorrichtung (die Mobilstation) durchgeführten Authentisierung aus dem Grund, dass die Endgerätevorrichtung ihre wahre Kennung bereits preisgegeben hat. Aus diesem Grund führt das Netzwerkelement eine Abfrage an einer beliebigen geeigneten Datenbank des Netzwerks durch, wobei es nach Informationen über die Endgerätevorrichtung fragt, die genau diese Kennung (IMSI/TMSI) hat. In einem Mobilfunknetzwerk ist die Datenbank naturgemäß ein Heimatstandortverzeichnis (HLR: "Home Location Register"). Weisen die Verzeichnisinformationen in Bezug auf die Kennung darauf hin, dass alles in Ordnung ist, hat die Authentisierung ein positives Ergebnis ergeben und Verkehr kann beginnen.The purpose of authenticating a terminal device, eg a mobile station, by the network element in accordance with 3 and 4 shown step 328 is to give an honest network element a way to ensure that it shares a common secure key (MBKEY) with such a terminal device part whose identifier (IMSI / TMSI) is exactly the one that the terminal device has in its message indicating the true identifier in step 325 according to 3 sent. The authentication differs from the authentication performed by the terminal device (the mobile station) for the reason that the terminal device has already revealed its true identity. For this reason, the network element performs a query on any suitable database of the network, asking for information about the terminal device having exactly that identifier (IMSI / TMSI). In a mobile radio network, the database is naturally a home location register (HLR: "Home Location Register"). Do the directory information regarding the identifier indicate that everything in Ord authentication is positive, and traffic can begin.

Bei Verwendung eines Festlegungsprotokolls gemäß der Erfindung werden mindestens drei Sicherheitsfaktoren erreicht:
Erstens ist es für einen Dritten unmöglich, die Kennung der Endgerätevorrichtung herauszufinden, wenn das Protokoll durchgeführt wird. Aus 4 kann ersehen werden, dass die Kennung der Endgerätevorrichtung in Nachrichten 1, 4 und 6 gesendet wird. Aus den vorstehend beschriebenen Eigenschaften der Hash-Funktion ergibt sich, dass kein Eindringling aus Nachrichten 1 und 4 die wahre Kennung eventuell berechnen kann. Die in Schritt 6 zu übertragende wahre Kennung ist mit einem gemeinsamen Schlüssel verschlüsselt, der nur den Parteien bekannt ist, weshalb kein Eindringling die Kennung herausfinden kann, ohne den Verschlüsselungsalgorithmus zu brechen.When using a scheduling protocol according to the invention at least three safety factors are achieved:
First, it is impossible for a third party to find out the identifier of the terminal device when the protocol is performed. Out 4 It can be seen that the identifier of the terminal device is sent in messages 1, 4 and 6. From the properties of the hash function described above it follows that no intruder from messages 1 and 4 can possibly calculate the true identifier. The true identifier to be transmitted in step 6 is encrypted with a common key known only to the parties, so that no intruder can find out the identifier without breaking the encryption algorithm.

Zweitens kann jede fremde Basisstation, die versucht, sich selbst an die Stelle der eigentlichen Basisstation zu setzen, zwar Nachrichten 1 bis 4 gemäß 4 erbeuten, aber wenn die von der Endgerätevorrichtung durchgeführte Authentisierung der Basisstation fortfährt wie sie sollte, wird sie feststellen, dass die Basisstation nicht authentisch bzw. echt ist, und wird das Protokoll abbrechen. Da die Endgerätevorrichtung nur ihre Pseudokennung gesendet hat, wird dank den Eigenschaften der einseitigen Hash-Funktion keine betrügerische Basisstation auf irgendeine Weise in der Lage sein, die wahre Kennung zu berechnen.Second, any foreign base station attempting to substitute itself for the actual base station may do so according to messages 1 through 4 4 If the base station's authentication carried out by the terminal device continues as it should, it will find that the base station is not authentic and will abort the protocol. Since the terminal device has sent only its pseudo-tag, thanks to the characteristics of the one-way hash function, no fraudulent base station will somehow be able to calculate the true tag.

Drittens ist eine ehrliche Basisstation fähig, zu folgern, ob die Endgerätevorrichtung, für die der Kanal zugewiesen wurde, genau diejenige Endgerätevorrichtung ist, die die Kanalanforderung gesendet hat. Basierend auf den vorstehend dargelegten Eigenschaften der einseitigen Hash-Funktion ist es für jede andere Endgerätevorrichtung abgesehen von derjenigen, die die Kanalanforderung gesendet hat, unmöglich, derartige Parameter zu berechnen, die nach dem Empfang von Nachricht 6 an der Basisstation gemäß 4 zu einem akzeptablen Endergebnis führen würden. Unter diesen Umständen kann die Endgerätevorrichtung aus guten Gründen folgern, ob der Verkehrskanal genau für sie selbst bestimmt ist, nachdem sie die Bestätigungsnachricht, Nachricht 4 gemäß der Figur, empfangen hat.Third, an honest base station is capable of concluding whether the terminal device to which the channel has been assigned is exactly the terminal device that has sent the channel request. Based on the characteristics of the one-way hash function set forth above, it is impossible for any other terminal device, other than the one that sent the channel request, to calculate such parameters as those received after receiving message 6 at the base station 4 would lead to an acceptable end result. Under these circumstances, the terminal device may reasonably infer whether the traffic channel is exactly for itself after having received the confirmation message, message 4 according to the figure.

Das Netzwerkelement bemerkt den Versuch einer fremden Endgerätevorrichtung, einen Verkehrskanal vom ursprünglichen Anforderer zu "stehlen" (Schritt 6 gemäß 4), weil es die Pseudokennung AMSI vom Anforderer zu Beginn des Protokolls empfangen hat und weil es für jede fremde Endgerätevorrichtung unmöglich ist, die zweite Zufallszahl und die wahre Kennung aus der Pseudokennung zu berechnen.The network element notices the attempt of a foreign terminal device to "steal" a traffic channel from the original requester (step 6) 4 ) because it received the pseudo-identifier AMSI from the requestor at the beginning of the protocol and because it is impossible for any foreign terminal device to calculate the second random number and the true identifier from the dummy identifier.

Das vorgeschlagene Festlegungsprotokoll kommt gewissermaßen zu dem Verkehr auf dem Übertragungspfad hinzu, hauptsächlich aus dem Grund, dass Nachrichtenlängen im Vergleich z.B. zu typischen Nachrichtenlängen bei einem GSM-System steigen werden. Die Länge der Pseudokennung beträgt 160 Bits, falls der MD5-Algorithmus als Hash-Funktion verwendet wird. Wird der Diffie-Hellman-Schlüsselaustauschalgorithmus beim Schlüsselaustausch verwendet, wird die zu übertragende Informationsmenge mindestens 500 bis 1000 Bits sein.The Proposed fixing protocol comes to a certain extent to the Traffic on the transmission path in addition, mainly for the reason that message lengths in comparison e.g. to increase typical message lengths in a GSM system become. The length the pseudo identifier is 160 bits if the MD5 algorithm uses hash function becomes. When the Diffie-Hellman key exchange algorithm is used key exchange used, becomes the amount of information to be transmitted be at least 500 to 1000 bits.

Das vorgeschlagene Festlegungsprotokoll kann innerhalb des Umfangs der Ansprüche auf jedes Telekommunikationsnetzwerk angewandt werden, bei dem die Endgerätevorrichtung unter Verwendung gemeinsamer Betriebsmittel zuerst eine Verbindung zum Übertragen von Informationen vom Netzwerk anfordert und das Netzwerk in Erwiderung auf die Anforderung die angeforderte Verbindung angibt.The Proposed fixing protocol may be within the scope of claims be applied to any telecommunications network in which the terminal device using shared resources, first connect to transfer requesting information from the network and the network in response to the request specifies the requested connection.

Claims

Authentication method between communicating parties in a telecommunication network, in which a network element and a terminal device perform a mutual authentication ( 323 . 328 ) and wherein the network element in response to an access message ( 312 ) assigns a traffic channel to the terminal device ( 314 ) on which the traffic is realized, wherein the terminal device and the network element both each form a separate subkey ( 315 . 318 ) and their own subkeys reveal each other on the traffic channel ( 316 . 320 ), characterized in that before traffic is started: the terminal device in the access message ( 312 ) sends a pseudo-tag containing a true identifier of the terminal device encrypted in such a way that the network element is only able to discover the true tag after it has received a new message from the terminal device, the contents of the new message being the true one Identification unencrypted, the terminal device performs the authentication of the network element ( 323 ) before the network element is notified of the true identifier of the terminal device, the terminal device forms the new message containing the true identifier unencrypted ( 324 ) and the new message, which is encrypted with both its own subkey of the terminal device and its own subkey of the network element, on the traffic channel to the network if the authentication indicates that the network element is authentic ( 325 ).

Method according to Claim 1, in which the terminal device forms the dummy identifier ( 311 ) by applying a one-way hash function to content components having the true identifier of the UE device and two random numbers, and sending the dummy ID and a first of the two random numbers in the access message.

Method according to Claim 2, in which the terminal device forms the first subkey ( 315 ) and sends the first subkey on the traffic channel to the network element ( 316 ), the network element forms the second subkey ( 318 ) and the second subkey as well as the pseudo-identifier on the traffic channel to the terminal device ( 320 ).

Method according to Claim 3, in which the terminal device carries out the authentication of the network element ( 323 ) when the dummy ID received from the terminal device and the dummy ID that formed the terminal device earlier are identical ( 322 ).

Method according to Claim 4, in which the terminal device forms the new message after successful authentication ( 324 ) containing the content components of the hash function and sending the new message encrypted with the first and second subkeys to the network element.

The method of claim 5, wherein the network element decrypts the encryption of the new message using the first and second subkeys ( 326 ) and an authentication of the content components ( 327 ).

Method according to Claim 6, in which the network element is used in the authentication ( 327 ): applies a hash function to the content constituents and compares the result with the dummy ID previously received in the access message, compares the first random number contained in the new message with the first random number previously received in the access message has been.

Method according to Claim 7, in which the network element carries out an authentication of the terminal device ( 328 ), if the comparison shows that the pseudo identifier and the first random number are correct.

Method according to claim 1, characterized in that in forming the pseudo identifier ( 311 ) and specifying the true identifier ( 324 ) a cryptographic bitmap con fi guration method is used.

Method according to claim 1, characterized in that for the use of subkeys Diffie-Hellman key exchange and RSA encryption algorithms applied to public keys become.

Terminal device for a telecommunications network, characterized in that the terminal device is configured to: request access to the network using an access message ( 312 ) having a pseudo-tag containing a true identifier of the terminal device encrypted in such a way that a network element is unable to know the true identifier from the access message without further information from the terminal device; and send ( 325 ) of the true identity of the terminal device and of information about how the true identifier in the access message has been encrypted, to the network element after the network element has been authenticated at the terminal device ( 323 ).

A network element for a telecommunications network, characterized in that the network element is configured to: assign a traffic channel for communicating with a terminal device ( 314 ) in response to an access message having a pseudo-identifier of the terminal device ( 313 ), the pseudo-tag containing a true identifier of the terminal device encrypted in such a way that the network element is unable to know the true identifier from the access message without further information from the terminal device; and verifying the true identifier ( 327 ) with the aid of further information received from the terminal device after the network element has been authenticated at the terminal device, the information including the true identity of the terminal device and information about how the true identifier in the access message has been encrypted.